Przekazywane danych samorządowi uczniowskiemu – jak zadbać o ich bezpieczeństwo

W przypadku szkół publicznych zastosowanie ma art. 68 ust. 2 Prawa oświatowego, zgodnie z którym dyrektor szkoły lub placówki może, w drodze decyzji, skreślić ucznia z listy uczniów w przypadkach określonych w statucie szkoły lub placówki. Skreślenie następuje na podstawie uchwały rady pedagogicznej, po zasięgnięciu opinii samorządu uczniowskiego.

Obowiązek uzyskania opinii samorządu uczniowskiego dotyczącej konkretnego ucznia jest zatem koniecznym warunkiem formalnym, którego niespełnienie wyklucza możliwość skreślenia ucznia z listy. Co za tym idzie dyrektor jest obowiązany przekazać dane osobowe ucznia członkom samorządu uczniowskiego.

Należy zauważyć, że zgodnie z art. 6 ust. 1 RODO przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:

• osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
• przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
• przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
• przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
• przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Przetwarzanie danych przez samorząd uczniowski jest zatem niezbędne dla wykonania obowiązku prawnego. Dyrektor nie ma jednak żadnych środków technicznych, które dodatkowo zabezpieczałyby dane osobowe ucznia, który ma zostać skreślony. Powinien natomiast poinformować przedstawicieli samorządu o tym, że dane, które przetwarzają, są przetwarzane na podstawie wyraźnego upoważnienia ustawowego i żaden inny podmiot takiego upoważnienia nie posiada. Co za tym idzie nie jest dopuszczalne przekazanie danych przez członków samorządu innemu podmiotowi – są oni zobowiązani do zachowania poufności przetwarzanych danych.